Water Saciバンキング型トロイの木馬
サイバー犯罪活動は進化を続けており、ブラジルの脅威アクター「Water Saci」は、その巧妙さにおいて目覚ましい進歩を見せています。最近の攻撃キャンペーンでは、HTAファイル、PDF、WhatsAppなどを用いた多層的な感染チェーンを活用し、バンキング型トロイの木馬を拡散させ、かつてないほど効率的にブラジルのユーザーを標的にしています。
目次
マルチフォーマット攻撃チェーン: PowerShell から Python まで
最新の攻撃は、Water Saciの戦術に大きな変化をもたらしました。以前はPowerShellに依存していましたが、現在はPythonベースの亜種を採用し、WhatsApp Web経由でワームのような方法でマルウェアを拡散しています。
この強化された攻撃チェーンの主な要素は次のとおりです。
PDF ルアー: 被害者は、悪意のあるリンクをクリックして Adobe Reader を更新するように指示する PDF ファイルを受け取ります。
HTA ファイル: 実行されると、これらのファイルは Visual Basic スクリプトを実行し、PowerShell コマンドを起動して、トロイの木馬の MSI インストーラーや WhatsApp の拡散に関与する Python スクリプトなどのペイロードを取得します。
このマルチフォーマットアプローチは、Water Saciが攻撃メカニズムを階層化していることを示しています。おそらくAIや自動ツールを用いてPowerShellスクリプトをPythonに変換しているのでしょう。これにより、マルウェア配信の互換性、速度、回復力、保守性が向上します。
MSIインストーラーとAutoItベースのトロイの木馬ローダー
MSIインストーラーは、バンキング型トロイの木馬の配信メカニズムとして機能します。AutoItスクリプトは、いくつかの重要な機能を実行します。
- マーカー ファイル (executed.dat) をチェックし、攻撃者が制御するサーバーに通知することで、トロイの木馬のインスタンスが 1 つだけ実行されていることを確認します。
- Bradesco、Warsaw、Topaz OFD、Sicoob、Itaú などの銀行関連のファイルとアプリケーションをスキャンする前に、システム言語設定 (ブラジルポルトガル語) を確認します。
- Google Chrome の履歴で、ブラジルの主要銀行 (Santander、Banco do Brasil、Caixa Econômica Federation、Sicredi、Bradesco) への訪問を検索します。
ローダーは、プロセスホロウイングとTDA/DMPファイル経由の中間PEローディングを用いてトロイの木馬をメモリに挿入することで、ステルス性と永続性を実現します。トロイの木馬のプロセスが終了した場合、被害者が銀行サイトにアクセスすると自動的に再挿入されます。
トロイの木馬の機能: 積極的な偵察と認証情報の盗難
Water Saci のトロイの木馬は、次のような監視、制御、データ盗難の高度な機能を備えています。
- 銀行や暗号通貨のプラットフォームを検出するためのウィンドウ タイトル監視。
- ブラウザを強制終了して、攻撃者の制御下にあるサイトを再度開きます。
- WMI クエリによるホストおよびシステムの偵察。
- 永続性のためのレジストリの変更。
- リモート制御用のC2通信。
- サポートされている操作は次のとおりです。
- システム情報の送信
- キーボードとスクリーンキャプチャ
- マウスの活動をシミュレートする
- ファイル操作（アップロード/ダウンロード）
- ウィンドウの列挙
- 偽の銀行オーバーレイの作成
この機能は、Casbaneiro などの LATAM をターゲットとしたバンキング型トロイの木馬に似ており、より高度な配信メカニズムを採用しながらも、構造的および動作的な継続性を反映しています。
PythonベースのWhatsApp伝播
このキャンペーンにおける注目すべき革新性は、ブラウザ自動化ツールであるSeleniumを用いてWhatsApp Web経由でマルウェアを拡散するPythonスクリプトです。Water Saciは、大規模な言語モデルやコード変換ツールを用いて、元のPowerShellによる拡散ロジックをPythonに移植した可能性を示唆する証拠があります。コンソール出力には絵文字も含まれており、この新しいスクリプトの洗練度の高さが伺えます。
Water Saci は WhatsApp の信頼性と範囲を悪用して、大規模にマルウェアを自己増殖させ、従来の防御を回避して急速に被害者を危険にさらします。
結論：メッセージベースのサイバー脅威の新時代
Water Saciキャンペーンは、サイバー犯罪者がWhatsAppなどの正規のプラットフォームを武器にして複雑なマルウェアを展開するという、増加傾向を浮き彫りにしています。ソーシャルエンジニアリング、AIを活用したスクリプト開発、そして多段階のマルウェア配信を組み合わせることで、脅威アクターは従来のセキュリティ対策を回避しながら、バンキング型トロイの木馬への感染を継続的に維持することが可能です。
この事例は、特にメッセージング プラットフォームが日常のコミュニケーションの中心的な役割を果たしているブラジルなどの地域では、警戒の強化、エンドポイントの堅牢な保護、およびユーザーの認識の必要性を強調しています。
